Firefox 74 väljalaskmine

Web-brauseri väljalaskmine Firefox 74, samuti mobiiliversioon Firefox 68.6 platvormile Android. Lisaks on koostatud uuendus haru pikenenud toe 68.6.0. Peagi jõuab beetatestimise kolmas haru Firefox 75, mille väljaandmine on planeeritud 7. aprilliks (projekt on läinud 4-5 nädalase arendus-tsüklile). Firefox 75 beetaharule algas koostamine kogumid Linuxi jaoks Flatpak formaadis.

Peamised uuendused:

• Linuxi kogumites on kasutusele võetud isolatsioonimehhanism RLBox, suunatud kolmandate osapoolte funktsioonide raamatukogude haavatavuste ärakasutamise takistamiseks. Praegu on isolatsioon sisse lülitatud ainult raamatukogule Graphite, mis vastutab fontide renderdamise eest. RLBox kompileerib C/C++ koodi isoleeritavast raamatukogust madala taseme vaheformaadi koodiks WebAssembly, mis on seejärel vormistatud WebAssembly mooduliks, mille õigused on määratud ainult sellele moodulile. Koostatud moodul töötab eraldi mälupiirkonnas ja ei pääse juurde ülejäänud aadressiruumi. Haavatavuse ärakasutamise korral raamatukogus piirab ründaja end ja ei saa juurdepääsu peamise protsessi mälupiirkondadele ega edastada juhtimist isoleeritud keskkonnast välja.
• DNS-i režiim HTTPS-i kaudu (DoH, DNS over HTTPS) on vaikimisi sisse lülitatud USA kasutajatele. Vaikimisi DNS-teenusena on saadaval CloudFlare (mozilla.cloudflare-dns.com lisatud ühes blokkeerimislisadesse Roskomnadzor), ning valikuna on saadaval NextDNS. Muuda teenusepakkujat või lülita DoH sisse riikides, mis ei ole USA, saab võrguühenduse seadetes. Lisainfot DoH kohta Firefoxis saad lugeda erilisest teadetes.
  
• Keelatud protokollide TLS 1.0 ja TLS 1.1 toetamine. Turvalise ühenduse loomiseks peab server pakkuma vähemalt TLS 1.2 tuge. Google'i andmetel toimub praegu umbes 0,5% veebilehtede laadimistest vananenud TLS versioonide abil. Keeldumine on tehtud vastavalt soovitustele IETF (Internet Engineering Task Force). TLS 1.0/1.1 toetlemisest loobumise põhjuseks on kaasaegsete šifrite (nt ECDHE ja AEAD) toetuse puudumine ning nõue vanade šifrite toetamiseks, mille usaldusväärsust on tänapäeva arvutitehnika arengu kontekstis kahtluse alla seatud (nt nõutakse TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, terviklikkuse ja autentimise kontrollimiseks kasutatakse MD5 ja SHA-1). Alates Firefoxi versioonist 74, kui proovite kasutada TLS 1.0 ja TLS 1.1, kuvatakse viga. Võimaluse taastamiseks töötada vanade TLS versioonidega saab kasutada seadistust security.tls.version.enable-deprecated = true või vigade lehe nupuga, mis kuvatakse vanade protokollide kasutamisel saidile sisenemise ajal.
  
• Väljalaskemärkusele on soovitatud täiendust Facebook Container, mis blokeerib automaatselt Facebooki vidinad, mis on paigutatud kolmandate osapoolte veebides autentimiseks, kommentaaride saatmiseks ja meeldimiste jagamiseks. Facebooki identifitseerimisseaded isoleeritakse eraldi konteinerisse, muutes kasutaja tuvastamise külastatavate veebisaitide seas keeruliseks. Facebooki põhi veebilehega saab endiselt töötada, kuid see isoleeritakse teistest saitidest.

  Paindlikumaks igasuguste saitide isoleerimiseks on saadaval laiendus Multi-Account Containers kontekstikonteinerite kontseptsiooniga. Konteinerid võimaldavad isoleerida erinevat tüüpi sisu ilma eraldi profiile loomata, mis aitab eristada teavet erinevate lehekülgede gruppide vahel. Näiteks saab luua eraldi, üksteisest isoleeritud alad isiklikuks suhtlemiseks, tööks, ostudeks ja pangategevuseks või korraldada erinevate konto kasutuste samal veebilehel. Igas konteineris kasutatakse eraldi salvestusi küpsiste, Local Storage API, indexedDB, vahemälu ja OriginAttributes sisu jaoks.

• About:config on lisatud seade „browser.tabs.allowTabDetach“, mis võimaldab keelata vahekaartide lahutamise uutesse akendesse. Juhuslik vahekaardi lahutamine on üks kõige tüütumaid Firefoxi vigu, mille kõrvaldamine on vajalik. oli võideldud 9 aastat. Brauserid võimaldavad hiirega vahekaardi uude aknasse lohistada, kuid teatud asjaoludel lahutatakse vahekaart eraldi aknasse, kui hiire liikumine klõpsamise ajal on ettevaatamatu.
• Lõpetatud täienduste toetamine, mis installitakse ringiga ja ei ole seotud kasutaja profiilidega. Muudatus puudutab ainult täienduste installimist ühistes kataloogides (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ või ~/.mozilla/extensions/), mida töötlevad kõik Firefoxi eksemplarid süsteemis (ilma kasutaja seotuse tõttu). Taolist meetodit kasutatakse tavaliselt täienduste eelinstallimiseks distributsioonides, et neid ilma loata juurde lisada koos kolmandate rakendustega, kahjustavate täienduste integreerimiseks või oma installijaga täienduse eraldi tarnimiseks. Firefox 73-s olid varem sundinstallitud täiendused automaatselt üle viidud ühest kataloogist individuaalsetesse kasutaja profiilidesse ja nüüd võivad nad olla eemaldatud läbi tavalise täienduste halduri.
• Brauseriga kaasasolevas süsteemi täienduses Lockwise, mis pakub liidest «about:logins» salvestatud paroolide haldamiseks, on nüüd toetamine sortimise võimalus tagurpidi (Z-st A-ni).
• WebRTC-s on suurenenud kaitse sisemise IP-aadressi leketest hääl- ja videosuhtluste ajal mehhanismi abil «mDNS ICE«, peitva kohaliku aadressi dünaamiliselt genereeritud juhuslik identifikaatoriga, mida määratletakse Multicast DNS kaudu.
• Ülevaate režiimi nupp «pildis pilt», mis kattis järgmise pildi liikumise nuppu Instagrami kogumite üleslaadimise liideses, on nüüd nihutatud.
• JavaScript lisatud operaator «?.», mis on mõeldud kogu omaduste või kõnede ahela ühekordseks kontrollimiseks. Näiteks, määratledes «db?.user?.name?.length», on nüüd võimalik juurde pääseda väärtusele «db.user.name.length» ilma eelkontrollideta. Kui mõni element töödeldakse kui null või undefined, antakse väljundiks väärtus «undefined».
• Lõpetatud toetuse olemasolu veebilehtedel ja lisades meetodi Object.toSource() ja globaalne funktsioon uneval().
• Uus sündmus on lisatud languagechange_even ja sellega seotud omadus onlanguagechange, mis võimaldavad kutsuda käitaja, kui kasutaja vahetab liidese keelt.
• HTTP päiste töötlemine on sisse lülitatud Cross-Origin-Resource-Policy (CORP), mis võimaldab saitidel keelata ressursside (nt piltide ja skriptide) sisestamise, mis laaditakse teistelt domeenidelt (kasutatakse micro-origin ja cross-site). Päis võib võtta kaks väärtust: „same-origin” (lubab ainult ressursiküsitlusi samast skeemist, host-nimest ja porti) ja „same-site” (lubab ainult päringud samalt saidilt).

  Cross-Origin-Resource-Policy: same-site

• Vaikimisi lubatud HTTP-päis Feature-Policy, mis võimaldab hallata API-de käitumist ja lubada teatud funktsioone (nt saab keelata juurdepääsu Geolocation API-le, kaamerale, mikrofoni, täisekraanile, automaatse esituse, encrypted-media, animatsioonidele, Payment API-le, XMLHttpRequest'i sünkroonrežiimile jne). Iframe'i plokkide jaoks on eraldi ette nähtud atribuuti „allow“, mida saab rakendada lehe koodis teatud iframe'i plokkide õiguste määramiseks.

  <iframe src=»https://example.com» allow=»fullscreen»></iframe>

  Feature-Policy: mikrofon ‘none’; geolocation ‘none’

  Kui sait lubab töötlust teatud iframe'i kaudu atribuudiga «allow», ja kui iframe'ist tuleb taotlus selle ressursiga töötamise õiguste saamiseks, kuvab brauser nüüd õiguse andmise dialooge põhilehe kontekstis ja delegeerib kinnitatud kasutaja õigused iframe'ile (nende ayrılığı asemel iframe'i ja põhilehe jaoks). Kuid kui põhilehed ei oma õigusi ressurssi jaoks, mis on taotletud via atribuut allow, on iframe'i juurdepääs sellele ressursile kohe blokeeritud, ilma kasutajale dialooge kuvamata.

• Vaikimisi on lubatud CSS-i omaduse ‘text-underline-position‘ tugi, mis määrab teksti allajoonimise positsiooni (näiteks vertikaalse teksti kuvamisel saab allajoonimise korraldada vasakul või paremal, ning horisontaalsel juhul mitte ainult all, vaid ka üleval). Lisaks CSS-i allajoonimise juhtimisstiilide omadustele text-underline-offset ja text-decoration-thickness lisatud tugi protsendiväärtuste kasutamiseks.
• CSS-i omaduses outline-style, määrates elementide ümber joonte stiili, on vaikimisi lubatud kasutada väärtust «auto» (enne oli väljas GNOME-i probleemide tõttu).
• JavaScript-i tõrkeotsija on lisatud võimalus sisemiste Web Workerite tõrkeotsimiseks, mille täitmine võib peatuda ja sammuhaaval tõrkeotsida, kasutades peatumpunkte.
  
• Veebilehtede kontrollimise liideses on CSS-omaduste jaoks, mis sõltuvad positsioneeritud elementidest, tagatud hoiatuste kuvamine z-index, top, left, bottom ja right.
  
• Windowsi ja macOS-i jaoks on võimalik importida profiile Microsoft Edge brauserist, mis põhineb Chromiumi mootoril.

Lisaks uuendustele ja veaparandustele on Firefox 74-s kõrvaldatud 20 haavatavust, millest 10 (kokku kogutud CVE-2020-6814 ja CVE-2020-6815) märgitud kui potentsiaalselt võimelised võimaldama kurjategija koodi täitmist spetsiaalselt kujundatud lehtede avamisel. Tuletame meelde, et mäluprobleemid, nagu puhversüsteemide ülevoolud ja juurdepääs juba vabastatud mälualadele, on hiljuti märgitud kui ohtlikud, kuid mitte kriitilised.

Allikas: opennet.ru